Objekti i kësaj Rregulloreje është përcaktimi i procedurave organizative e teknike, masave për mbrojtjen e të dhënave personale dhe sigurisë, ruajtjes dhe administrimit të të dhënave personale nga strukturat e Tirana International Airport SHPK (TIA).

KREU I

DISPOZITA TË PËRGJITHSHME

Neni 1

Objekti

Objekti i kësaj Rregulloreje është përcaktimi i procedurave organizative e teknike, masave për mbrojtjen e të dhënave personale dhe sigurisë, ruajtjes dhe administrimit të të dhënave personale nga strukturat e Tirana International Airport SHPK (TIA).

Neni 2

Qëllimi

Kjo Rregullore ka për qëllim të përcaktojë parimet e përgjithshme dhe masat organizative dhe teknike për mbrojtjen, ruajtjen, sigurinë dhe administrimin e të dhënave personale. Ajo zbatohet për të gjitha të dhënat e përpunuara nga TIA në përputhje me “Ligjin për mbrojtjen e të dhënave personale “.

Përpunimi i të dhënave duhet të bëhet në përputhje me Kushtetutën, Ligjin për Mbrojtjen e të Dhënave Personale, duke respektuar të drejtat e punemarresve dhe te cdo subjekti tjeter.

Neni 3

Përkufizime

1. Për qëllim të kësaj Rregullore, termat e mëposhtëm kanë këtë kuptim:
2. “Kontrollues” Për efekt të kësaj rregulloreje është TIA, e cila vetëm apo së bashku me të tjerë, përcakton qëllimin dhe mënyrat e përpunimit të të dhënave personale, në përputhje me ligjet dhe aktet nënligjore të fushës, dhe përgjigjet për përmbushjen e detyrimeve të përcaktuara në këtë ligj.
3. “Përpunues” Për efekt të kësaj rregulloreje është ose janë cdo departament i administrates se TIA-s, përveç punonjësve të kontrolluesit, që përpunojnë të dhëna për vetë kontrolluesin.
4. “Marrës” është çdo person fizik ose juridik, autoritet publik, agjenci apo ndonjë organ tjetër të cilit i janë dhënë të dhënat e një palë të tretë ose jo.
5. Termat e tjerë të përdorur në zbatim të kësaj Rregullore do të kenë të njëjtin kuptim si më ligjin nr. 9887, datë 10.03.2008 “Për mbrojtjen e të dhënave personale”, i ndryshuar.

Neni 4

Fusha e zbatimit

Kjo Rregullore zbatohet për përpunimin e të dhënave personale plotësisht ose pjesërisht, nëpërmjet mjeteve automatike, dhe me mjete të tjera që mbahen në një sistem arkivimi apo kanë për qëllim të formojnë pjesë të sistemit të arkivimit pranë TIA-s.

KREU II

PËRPUNIMI I TË DHËNAVE PERSONALE

Neni 5

Mbrojtja e të dhënave personale

Çdo punonjës i strukturave të TIA-s, që merret me përpunimin e të dhënave personale të subjekteve, detyrohet të zbatojë kërkesat e neneve 2 dhe 5 të ligjit “Për mbrojtjen e të dhënave personale”, i ndryshuar, si më poshtë:

• Respektimin e parimit për përpunimin e ligjshëm të të dhënave personale, duke respektuar dhe garantuar të drejtat dhe liritë themelore të njeriut dhe, në veçanti, të drejtën e ruajtjes së jetës private;
• Kryerjen e përpunimit në mënyrë të drejtë dhe të ligjshme;
• Grumbullimin e të dhënave personale për qëllime specifike, të përcaktuara qartë, e legjitime dhe kryerjen e përpunimit të tyre në përputhje me këto qëllime;
• Të dhënat që do të përpunohen duhet të jenë të mjaftueshme, të lidhen me qëllimin e përpunimit dhe të mos e tejkalojnë këtë qëllim;
• Të dhënat duhet të jenë të sakta nga ana faktike dhe, kur është e nevojshme, të bëhet përditësimi e kryerja e çdo veprimi për të siguruar që të dhënat e pasakta e të parregullta të fshihen apo të ndryshohen;         
• Të dhënat duhet të mbahen në atë formë, që të lejojnë identifikimin e subjekteve të të dhënave për një kohë, por jo më tepër sesa është e nevojshme për qëllimin, për të cilin ato janë grumbulluar ose përpunuar më tej.

Neni 6

Qëllimi i përpunimit

Çdo punonjës i TIA-s mund t’i përdorë të dhënat personale vetëm për kryerjen e detyrave të parashikuara nga ligji dhe në përputhje me aktet ligjore e nënligjore që rregullojnë mënyrën e përpunimit të të dhënave personale.

Neni 7

Kriteret e përpunimit të të dhënave personale

1. e çdo strukture të TIA-s që përpunojnë të dhëna personale të subjekteve, bazohen në kriteret e përcaktuara në nenin 6 të ligjit “Për mbrojtjen e të dhënave personale”.
2.  

• për përmbushjen e një detyrimi ligjor të kontrolluesit;
• per permbushjen e kontratave per te cilen subjekti i te dhenave eshte pale kontraktuese;
• për kryerjen e një detyre ligjore me interes publik;
• për ndjekjen e interesave legjitimë të kontrolluesit ose të një pale të tretë, së cilës i janë përhapur të dhënat, përveç kur këta interesa mbizotërojnë mbi interesat për mbrojtjen e të drejtave dhe të lirive themelore të subjektit të të dhënave.

Neni 8

Përpunimi i të dhënave sensitive

Përpunimi i të dhënave sensitive kryhet në përputhje me kriteret e përcaktuara me poshte:

• te dhenat kerkohen per sigurimin e kujdesit shendetesor, diagnostikimit mjekesore dhe perdorimi i tyre kryhet nga personeli mjekesor prane TIA-s;
• perpunimi eshte i nevojshme per permbushjen e detyrimit ligjor dhe te te drejtave specifike te kontrolluesit ne fushen e punesimit, ne perputhje me Kodin e Punes.

KREU III

TË DREJTAT E SUBJEKTIT TË TË DHËNAVE

Neni 9

Zbatimi i të drejtave të subjekteve të të dhënave personale

Neni 10

Kërkesa për informacion

Kërkesën për informacion mund ta bëjë:

• Vetë personi;
• Përfaqësuesi ligjor i pajisur me autorizimin përkatës.

Përgjigja në çdo rast dërgohet në adresën e kërkuar nga vetë kërkuesi.

KREU IV

SIGURIA E TË DHËNAVE PERSONALE

Neni 11

Masat për sigurinë e të dhënave

TIA dhe organet e saj të varësisë marrin masa organizative dhe teknike të përshtatshme për të mbrojtur të dhënat personale nga shkatërrime të paligjshme, aksidentale, humbje aksidentale, për të mbrojtur aksesin ose përhapjen nga persona të paautorizuar, veçanërisht kur përpunimi i të dhënave bëhet në rrjet, si dhe nga çdo formë tjetër e paligjshme përpunimi.      

Ata marrin këto masa të veçanta sigurie:      

• Përcaktojnë funksionet ndërmjet njësive organizative dhe operatorëve për përdorimin e të

dhënave;

• Përdorimi i të dhënave bëhet me urdhër të ekzekutiveve te TIA ose personave te nga autorizuar nga keta;
• Ndalojnë hyrjen e personave të paautorizuar në mjediset e kontrolluesit ose përpunuesit të të dhënave.
• Aksesi në të dhënat dhe programet, bëhet vetëm nga personat e autorizuar, ndalojnë hyrjen në mjetet e arkivimit dhe përdorimin e tyre nga persona të paautorizuar;
• Vënia në punë e pajisjeve të përpunimit të të dhënave bëhet vetëm me autorizim të perfaqesueve te TIA-s dhe çdo mjet sigurohet me masa parandaluese ndaj vënies së autorizuar në punë;
• Regjistrojnë dhe dokumentojnë modifikimet, korrigjimet, fshirjet, transmetimet, përditësimet, etj.
• Sa herë që punonjësit e TIA-s largohen nga vendi i tyre i punës, ata duhet të mbyllin kompjuterat e tyre, dollapët, kasafortat dhe zyrën, në të cilat janë ruajtur të dhënat personale;
• Nuk duhet të largohen nga mjediset e punës kur ka të dhëna të pambrojtura në tavolinë, dhe ndodhet në prani të personave të cilët nuk janë të punësuar nga ana e TIA-s;
• Nuk mbajnë në monitor të dhëna personale, kur është i pranishëm një person i pautorizuar dhe sidomos në vende jo publike;
• Nuk nxjerrin jashtë zyrës, në asnjë rast, kompjutera, laptop, flesh apo pajisje të tjera që përmbajnë të dhëna personale dhe nuk duhet ti lënë ato në vende të pasigurta, pa u siguruar për fshirjen apo shkatërrimin e të dhënave;
• Të dhënat të mbrohen duke verifikuar identitetin e përdoruesit dhe duke i lejuar akses vetëm individëve të autorizuar.
• Udhëzimet për përdorimin e kompjuterit, duhet të ruhen në mënyrë të tillë që ato të mos jenë të aksesueshme nga persona të paautorizuar;
• Kryejnë vazhdimisht procedurën e hyrjes dhe daljes duke përdorur fjalëkalime personale në fillim dhe në mbarim të aksesit të tyre në të dhënat e mbrojtura, të ruajtura në bazat e të dhënave të TIA-s;
• Njohja dhe regjistrimi i operatorëve terminalistë dhe i përdoruesve kryhet me përdorimin e fjalëkalimeve për hyrjen në bankën e të dhënave. Fjalëkalimet cilësohen sekrete dhe janë vetjake;
• Në dokumente që përmbajnë të dhëna të mbrojtura, duhet të sigurojnë shkatërrimin e materialeve ndihmëse, (p.sh. provat apo shkresat, matricat, llogaritjet, diagrame dhe skica) të përdorura ose të prodhuara për krijimin e dokumentit;
• Të dhënat e dokumentuara nuk përdoren për qëllime të tjera, që nuk janë në përputhje me qëllimin e grumbullimit.
• Ndalohet njohja ose çdo përpunim i të dhënave të regjistruara në dosje për një qëllim të ndryshëm nga e drejta për të hedhur të dhëna. Përjashtohet nga ky rregull rasti kur të dhënat përdoren për parandalimin ose ndjekjen e një vepre penale.
• Ruajnë dokumentacionin e të dhënave për aq kohë sa është i nevojshëm për qëllimin, për të cilin është grumbulluar.
• Niveli i sigurisë duhet të jetë i përshtatshëm me natyrën e përpunimit të të dhënave personale.
• Respektojnë aktet e tjera ligjore dhe nënligjore që përcaktojnë se si duhet të përdoren të dhënat personale.

Neni 12

Mbrojtja e ambjenteve

Ambientet në të cilat do të përpunohen të dhënat personale duhet të mbrohen nga masa organizative, fizike dhe teknike që të parandalojnë aksesin e personave të paautorizuar në mjediset dhe aparaturat me të cilat do të përpunohen të dhënat personale.

Zbatimi i masave të sigurimit duhet të bëhet në përputhje me nivelin e sigurisë së të dhënave dhe informacionit të administruar, si dhe treguesit e nivelit të rrezikut që mund të vijë nga ekspozimi i paautorizuar i informacionit të ruajtur.

Në ambientet ku përpunohen të dhëna personale zbatohen këto masa sigurie:

• Ndalohet hyrja e personave të paautorizuar.
• Personat që futen në këto ambjete duhet të pajisen me autorizimin përkatës
• Ambientet e hyrjes, survejohen me kamera gjatë 24 orëve.
• Veç masave dhe sistemeve të tjera të mbrojtjes, vendosen pajisje dhe sisteme të

sigurimit elektronik (sisteme sinjalizimi, telekamera, etj).  

• Ambientet pajisen me dollap hekuri, të sigurta për mbrojtjen e dosjeve nga dëmtimi i

tyre, me kasaforta e brava me çelësa.

• Sigurohet mbikëqyrje e vazhdueshme, ditën dhe natën me roje fizike

Neni 13

Në ambientet ku përpunohen të dhëna të mbrojtura (personale) lejohet të qëndrojnë:

Neni 14

Drejtoria e Teknologjisë

Drejtoria e Teknologjisë së Informacionit duhet të ketë një kopje dhe një dublikatë të të gjitha të dhënave dhe software që mbahen ose ruhen në kompjuterin qëndror. Kopja dublikatë duhet të mbahet në një vend të sigurt. DTI mban një kopje të të dhënave dhe të sistemit të vendosur në kompjuterin dytësor.

Një kopje dublikatë duhet të mbahet në një vend ose ambient të ndryshëm nga godina në të cilën ndodhet DTI. Numri dhe forma e kopjeve shtesë e dokumenteve mjeteve të tjera të komunikimit në të cilat ato ruhen përcaktohen nga departamenti përkatës për çdo dokument.

Neni 15

Mbrojtja e pajisjeve elektronike

Pajisjet elektronike për përpunimin e të dhënave dhe informacionve në institucionin e TIA-s përdoren vetëm për kryerjen e detyrave të përcaktuara në rregullore. Këto pajisje përdoren vetëm nga punonjës të TIA-s të trajnuar më parë për përdorimin e tyre. Trajnimi i personelit që merret me përpunimin automatik të të dhënave bëhet nga Drejtoria e Teknologjisë së Informacionit.

Për çdo gabim apo defekt në sistemet/databaset e institucionit të TIA-s njoftohet administratori i sistemit, i cili mbi bazën e kërkesës bën rregullimin përkatës.

Neni 16

Mbrojtja e software

Programet për trajtimin e të dhënave dhe informacioneve të blera apo të dhuruara nga donatorë të ndryshëm menaxhohen nga Drejtoria e Teknologjsë së Informacionit. Kur një program i destinuar për trajtimin e të dhënave të institucionit të TIA-s është krijuar me iniciativën e një punonjësi të TIA-s i cili nuk është i përfshirë në zhvillimin e organizimit dhe të planifikimit të programeve, para se të përfshihet në përdorimin e programit duhet të jetë miratuar nga departamenti. Pas miratimit departamenti organizon instalimin e tij në pajisjet elektronike.

Për secilin program Departamenti/Drejtoria e Teknologjisë së Informacionit mund të përcaktojë:

Neni 17

Fjalëkalimet

Shumë nga aplikimet dhe sistemet kompjuterike janë të mbrojtura me një fjalëkalim. Për arsye sigurie, këto fjalëkalime herë pas here duhet të ndryshohen (çdo 3 muaj ose çdo 6 muaj). Disa rregulla mbi përdorimin dhe vendosjen e fjalëkalimeve:

• Fjalëkalimi për aksesimin e burimeve te teknologjisë dhe informacionit (psh kompjuteri,etj) nuk duhet të ndahet me persona të tjerë brenda apo jashtë organit. Punonjësit janë përgjegjës për ruajtjen dhe mos shpërndarjen e këtij informacioni.
• Gjatë vendosjes së fjalëkalimit, duhet të vendoset një fjalë apo frazë që mund të mbahet mend lehtësisht, por jo dicka që identifikon lehtësisht, si psh: emri apo adresa. Këshillohet të përdorni një fjalëkalim të fortë. Një fjalëkalim i fortë konsiderohet ai që përmban shkronja të mëdha dhe të vogla, numra dhe karaktere pikësimi.

Neni 18

Monitorimi dhe regjistrimi i aksesit për të dhënat personale

Hyrja tek të dhënat dhe informacionet u nënshtrohet normave të veçanta të sigurisë për ruajtjen e paprekshmërisë dhe për azhurnimin e tyre. Sistemi është i ndërtuar në mënyrë të tillë që vërteton identitetin e përdoruesit. Kjo kërkon që serveri qendror të njohë çdo operator terminalist dhe çdo përdorues nëpërmjet programeve të veçanta. Ky sistem mundëson identifikimin e vazhdueshëm të përdoruesit në çdo kohë, në një terminal të caktuar, vendin e punës ose pajisje të tjera për periudhën për të cilën të dhënat specifike janë ruajtur.

Përdoruesit duhet të njihen me llojin e të dhënave në regjistrimet e përditshme dhe kohën e ruajtjes së këtyre regjistrimeve.

Regjistrimet e përditshme administrohen nga njësi organizative të administratës së përgjithshme të TIA-s përgjegjës për mbrojtjen e të dhënave, që përcakton përmbajtjen e të dhënave të regjistrimeve ditore dhe kohën e ruajtjes së të dhënave personale. Periudha e ruajtjes së regjistrimit të të dhënës ose informacionit është e barabartë me periudhën e ruajtjes së dokumentit shkresor që përmban këtë dhënë ose informacion. Me kalimin e këtij afati këto të dhëna arkivohen ose asgjësohen. Njohja dhe regjistrimi i operatorëve terminalistë dhe i përdoruesve kryhet me përdorimin e fjalëkalimeve për hyrjen në bankën e të dhënave. Fjalëkalimet cilësohen sekrete dhe janë vetjake.

Hyrja në të dhënat dhe informacionet lejohet ose pengohet me programe të veçanta elektronike. Kontrolli dhe dokumentimi i aksesit në të dhëna dhe informacione realizohet nga personat përgjegjës për mbrojtjen e të dhënave.

Neni 19

Mbrojtja e dokumentave

Dokumentat e klasifikuar dhe mjetet e tjera të komunikimit në të cilat mbahen të dhëna personale duhet të shënohen me një lloj sekretimi dhe një nivel i caktuar kofidencialiteti.Sekretimi dhe niveli i kofidencialitetit përcaktohet në përputhje me aktet normative në fuqi.

Neni 20

Dokumente sekrete

Kur krijohen dokumente që përmbajnë të dhëna që kosiderohen “shumë sekrete” ose “sekrete”, në dokumentin origjinal përcaktohen të dhëna lidhur me numrin e kopjeve që i janë bërë dokumentit (të shkruar, printuara, vizatuara, duplikuara) dhe kujt i janë dhënë. Çdo kopje duhet të ketë numrin e vet të regjistrimit.

Nëqoftëse materiali i përmendur në paragrafin e mësipërm përbëhet nga disa faqe ose lidhet me dokumente të tjera ose ka pjesë të tjera përbërëse atëherë çdo faqe duhet të sigurohet nga një nivel i caktuar kofidencialiteti ose të sigurohet që faqet dhe lidhjet të mos hiqen ose grisen pa një paralajmërim të mëparshëm.

Kur të dhënat konfidenciale prezantohen në një ekran ose në sisteme të tjera mediatike, niveli i fshehtësisë ose konfidencialitetit duhet të tregohet në çdo pjesë (ilustrime, piktura, vrojtime, parashikime) të prezantimit (paraqitjes).

Neni 21

Ruajtja e dokumenteve sekrete

Dokumentet që mbajnë të dhëna që janë “shumë sekrete” ose “sekrete” duhet të kyçen në njësi prej hekuri teknikisht të sigurta, ose të mblidhen në një pllakë hekuri të kyçur dhe sigluar e siguruar nga një kod, megjithëse ato janë drejtpërdrejtë të kontrolluara nga një punonjës që i nevojiten dokumente përkatëse (të caktuara) për punën e tij.

Çelësat e këtyre njësive duhet të mbrohen nga nëpunësit në kontakt të ngushtë fizik, në vendet e tyre ose në zarfe të vulosura nga zyra kryesore. Çelësa të tjerë duhet të mbahen nga zyra kryesore e drejtuesit të njësisë organizative përkatëse. Në qoftë se një çelës humbet, kyçi duhet të ndryshohet.

Në vendet ku mbrohen dokumentet e përmendura në paragrafin e mësipërm hyjnë vetëm punonjës që krijojnë, përdorin, mbrojnë ose sigurojnë këto dokumente.

Neni 22

Materialet përgatitore të përdorura për krijimin e dokumenteve që përmbajnë të dhëna “shume sekrete” ose “sekrete” (matrica, llogaritje, diagrama, skica, çështje ose printime skarco) duhet të shkatërrohet nga një komision dëshmitarësh ose vëzhguesish. Mënyra që përdoret për shkatërrimin e tyre duhet të jetë e tillë që të sigurojë pa lexueshmërinë dhe të pengojë riprodhimin e përmbajtjes.

Komisioni i vëzhguesve mban një raport për shkatërrimin e materialit të përmendur në paragrafin e mësipërm i cili firmoset nga të gjithë anëtarët e komisionit.Komisioni i vëzhguesve përbëhet nga tre anëtarë të caktuar nga eprori i njësisë përkatëse.Procedura që përdoret për shkatërrimin e dokumenteve që përmbajnë të dhëna personale përcaktohet nga eprori përkatës.

E njëjta procedurë përdoret edhe për shkatërrimin e të dhënave dhe dokumenteve dhe mjeteve të tjera të komunikimit koha e përdorimit të të cilave ka mbaruar.

Neni 23

Dublikata e programeve

Dublikata e programeve me të dhëna që përdoren në rastin e fatkeqësive natyrore ose në raste të gjendjes së jashtëzakonshme ose gjendje lufte duhet të ruhen në vende ose lokale që ndodhen jashtë zyrës kryesore të njësisë organizative përkatëse. Mënyra e krijimit, shumëfishimit dhe ruajtjes së këtyre dublikatave përcaktohet në mënyrë të veçantë për çdo dokument, në përputhje me rregullat e ruajtjes dhe garantimit të tyre, të vendosura nga njësia organizative përkatëse dhe me rregullat e zbatueshme në rastin e fatkeqësive natyrore.

Neni 24

Në qoftë se një dokument me të dhëna konfidenciale humbet ose zhduket, nëpunësi kompetent ka për detyrë të informojë menjëherë eprorin e tij dhe te marrë çdo masë që vlerësohet e domosdoshme për të përcaktuar rrethanat në të cilat ka humbur dokumenti si dhe për eliminimin e pasojave të dëmshme.

KREU V

SANKSIONE ADMINISTRATIVE

Neni 25

Masat administrative

Çdo punonjës i TIA-s i cili shkel detyrën për të mbrojtur të dhënat personale është përgjegjës për thyerje të disiplinës, rregullave, dhe detyrimeve në veprimtarinë e punës së tij. Në qoftë se veprimet e tyre nuk përbëjnë vepër penale ndaj tyre merren masa administrative dhe disiplinore sipas akteve normative në fuqi.

Neni 26

Mbikëqyrja e masave dhe procedurave mbrojtëse

Mbikëqyrja e implementimit të rregullave për mbrojtjen e të dhënave personale për respektimin normave të sigurisë, për mbrojtjen e të dhënave të automatizuara kundër prishjes së tyre aksidentale ose të paautorizuar, si dhe kundër hyrjes, ndryshimit dhe përhapjes së paautorizuar të tyre realizohet nga personat përgjegjës për mbikëqyrjen dhe mbrojtjen e të dhënave respektive.

KREU VI

DISPOZITA TË FUNDIT

Neni 27

Konfidencialiteti për përpunimin e të dhënave

Çdo punonjës i TIA-s që përpunon të dhëna apo vihet në dijeni me të dhënat e përpunuara nuk mund ti bëjë të njohur përmbajtjen e këtyre të dhënave personave të tjerë. Ai detyrohet të ruajë konfidencialitetin dhe besueshmërinë edhe pas përfundimit të funksionit.

Çdo person që vepron nën autoritetin e kontrolluesit, nuk duhet t’i përpunojë të dhënat personale, tek të cilat ka akses, pa autorizimin e kontrolluesit, përveçse kur detyrohet me ligj.

Neni 28

Detyrimi për bashkëpunim 

TIA eshte e ndërgjegjshme për detyrimet që ka për të bashkëpunuar me Komisionerit dhe për ti siguruar të gjithë informacionin që ai kërkon për përmbushjen e detyrave, pasi Komisioneri ka akses në sistemin e kompjuterave, në sistemet e arkivimit, që kryejnë përpunimin e të dhënave personale dhe në të gjithë dokumentacionin, që lidhet me përpunimin dhe transferimin e tyre, për ushtrimin e të drejtave dhe të detyrave që i janë ngarkuar me ligj.      

Neni 29

Detyrimi për zbatim

Të gjithë aktet ligjore të Komisionerit janë të detyrueshme për zbatim nga TIA dhe strukturat vartëse të saj.

Çdo punonjës që merret me përpunimin e të dhënave personale është i ndërgjegjshëm se përpunimi i të dhënave personale në kundërshtim me kërkesat e ligjit “Për mbrojtjen e të dhënave personale” përbën kundërvajtje administrative dhe dënohet me gjobë.

Neni 30

Sanksionet

Kjo rregullore është pjesë e rregullores së brendshme dhe mosrespektimi i kërkesave të saj përbën shkelje të disiplinës në punë dhe ndëshkohen sipas lëgjislacionit në fuqi.